• oktober 23, 2026
• Brian

Woensdag 21 oktober was een opvallende dag op het Nederlandse internet. DigiD, MijnOverheid, de website van de Tweede Kamer, tientallen gemeenten en meerdere ziekenhuizen gingen uit voorzorg offline. De oorzaak: twee kritieke kwetsbaarheden in PHP, de programmeertaal waarop een groot deel van het web draait, ook WordPress. Inmiddels zijn er updates en staan de meeste sites weer online. Maar wat betekent dit voor jouw eigen website?

Wat er aan de hand was

Op 20 oktober kondigde het PHP-project een spoedupdate aan voor twee kritieke lekken. Een dag later volgden de patches. Het gaat om CVE-2026-109618 en CVE-2026-109619, allebei met een ernstscore van 9.2. In gewone taal: via een speciaal opgesteld verzoek aan de webserver kan een aanvaller zonder in te loggen op afstand code uitvoeren en zo een server overnemen. Volgens het PHP-team loopt elke PHP-installatie die webverzoeken afhandelt risico, ongeacht welk CMS of welke webshopsoftware erop draait.

Het Nationaal Cyber Security Centrum (NCSC) adviseerde organisaties om zelf een risicoafweging te maken en kwetsbare sites zo nodig offline te halen tot de update er was. Veel organisaties deden dat. Het NCSC haalde zelfs zijn eigen website tijdelijk uit de lucht, net als de Autoriteit Persoonsgegevens.

Wie er offline gingen

De lijst was lang. Naast DigiD, MijnOverheid en Overheid.nl ging ook NotuBiz offline, het systeem waarmee zo’n honderd gemeenten hun raadsinformatie publiceren. Volgens NRC waren woensdagmiddag de websites van ten minste elf algemene ziekenhuizen onbereikbaar, onder meer het Jeroen Bosch Ziekenhuis, Haaglanden MC en het St. Antonius Ziekenhuis. Ook Maastricht UMC+, het RIVM, GGD’s, Thuisarts.nl en veel huisartsensites waren tijdelijk uit de lucht. Daarbuiten waren onder andere RTL Nieuws en Tweakers een tijd offline.

Belangrijk om te weten: de zorg zelf ging door. Patiëntenportalen stonden los van de websites en bleven bereikbaar, en afspraken gingen gewoon door. Rond 16.00 uur kwamen de patches beschikbaar en in de loop van de avond en donderdag gingen de meeste sites weer online.

Is het nu voorbij?

Niet helemaal. In een update van 22 oktober meldt het NCSC dat het eerste signalen van succesvol misbruik onderzoekt. Er circuleren zogeheten proofs of concept, voorbeelden die laten zien dat de lekken echt te misbruiken zijn. Websites die nog niet zijn bijgewerkt, zijn dus een makkelijk doelwit. Het advies is helder: installeer de updates direct en houd systemen die nog kwetsbaar zijn offline tot ze zijn bijgewerkt.

De veilige versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 8.1 en ouder brengt het PHP-project geen reguliere updates meer uit. Wel zijn er vanwege de ernst minimale patches voor 7.4, 8.0 en 8.1, en sommige Linux-distributies leveren zelf beveiligingsupdates. Maar het echte advies voor die oude versies is: overstappen op een ondersteunde versie. Let op: ook PHP 8.2 krijgt na 31 december 2026 geen beveiligingsupdates meer.

Wat betekent dit voor jouw WordPress-site?

Het lek zit niet in WordPress, maar in PHP op de server eronder. Een update van WordPress, je thema of je plugins lost dit dus niet op. Het is je hosting die bijgewerkt moet worden. Dat maakt het voor veel ondernemers lastig, want PHP zie je als gebruiker nergens. Met deze stappen weet je snel waar je staat:

1. Check je PHP-versie. In WordPress vind je die onder Hulpmiddelen, Sitediagnose, tabblad Informatie, onderdeel Server. Ook in het controlepaneel van je hostingpakket staat meestal welke versie je site gebruikt.
2. Vraag je hostingpartij of de patch is doorgevoerd. Bij gedeelde of beheerde hosting werkt de hostingpartij PHP normaal gesproken zelf bij. Heb je een eigen VPS of server, dan ligt die taak bij jou of je beheerder.
3. Draai je nog op PHP 8.1 of ouder? Plan dan een upgrade naar een ondersteunde versie. Test die eerst op een testomgeving, want oudere thema’s en plugins werken soms niet goed met een nieuwere PHP-versie.
4. Houd ook WordPress, thema en plugins actueel. Het lost dit lek niet op, maar een upgrade van PHP gaat een stuk soepeler als de rest van je site bij is.
5. Zorg voor recente back-ups die buiten je server worden bewaard. Gaat er toch iets mis, dan kun je snel terug.

Onderhoud is geen luxe

Deze week liet zien hoe snel een website een risico kan worden, ook als je er zelf niets aan hebt veranderd. Grote organisaties hebben teams die zo’n situatie binnen een paar uur oppakken. Voor een ondernemer met een bedrijfswebsite of webshop is het vooral belangrijk om te weten wie er verantwoordelijk is voor de server, de PHP-versie en de updates. Een vast onderhoudsplan en een hostingpartij die snel patcht, maken het verschil tussen een rustige woensdag en een dag vol zorgen.

Even laten meekijken?

Twijfel je welke PHP-versie je site gebruikt, of weet je niet zeker of je hosting al is bijgewerkt? Neem gerust contact op met Anblick. Dan kijken we samen naar je site en hosting, en wat er eventueel nodig is om alles weer veilig en up-to-date te krijgen.

Bronnen:
NCSC: Kwetsbaarheden PHP, patches beschikbaar (21 oktober 2026, bijgewerkt 22 oktober); PHP.net: Security advisory en releases (21 oktober 2026); Rijksoverheid: websites preventief offline (21 oktober 2026); NOS: Websites van overheid offline vanwege lek (21 oktober 2026); NOS: Websites komen langzaam weer online (21 oktober 2026); NRC: Zorgverlening gaat door, websites zorginstellingen offline (21 oktober 2026); NRC: Veel websites weer online na PHP-lek (22 oktober 2026).